CVE-2026-13244

إصدارات Tealium iQ Tag Management من 0.0.0 إلى 2.4.0

يسمح التعديل غير الخاضع للرقابة بشكل صحيح لسمات الكائنات المحددة ديناميكيًا في وحدة Tealium iQ Tag Management بإدخال كائنات. يحدث هذا لأن الحقل tealiumiq يخزن البيانات كسلاسل مُسلسلة بلغة PHP؛ وإذا تمت كتابة بيانات ضارة في هذا الحقل، فيمكن تنفيذها عند إلغاء تسلسل البيانات. يتطلب استغلال هذه الثغرة أن يكون لدى المهاجم أذونات لتعديل كيان محتوى مرفق به حقل tealiumiq. بالإضافة إلى ذلك، يجب تمكين الوحدة الأساسية jsonapi مع الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“، أو يجب أن يكون لدى المهاجم طريقة بديلة لتعديل قيم الحقول مباشرةً.

تحديث Tealium iQ Tag Management إلى إصدار أحدث من 2.4.0.

تقييد أذونات تعديل كيانات المحتوى التي تحتوي على الحقل tealiumiq.

تعطيل الخيار ”قبول جميع عمليات إنشاء وقراءة وتحديث وحذف JSON:API“ في الوحدة النمطية jsonapi.